لماذا SHA-256 وحده غير مناسب لتخزين كلمة السر

(هاتشينغ) ليس مشفراً: لا توجد عملية تطهير مقابلة. ومع ذلك، فبعد أن تتسرب قاعدة بيانات ما يمكن للمهاجم أن يخمنها ويقارنها بالسجلات المسروقة دون تجاوز حدود أسعار الدخول الخاصة بتطبيقك.

SHAتصبح سرعة " عيباً "

SHA-256 is useful for integrity checks and many cryptographic applications. سرعتها غير مستصوبة لتخزين كلمة السر أضف ملح SHA256(salt + password) لا تجعل التخمينات باهظة الثمن وتخدم تكاليف الملح والحساب أغراضاً مختلفة.

لا تخترعي شكلاً إبداعياً أو حلقة من الهزات العادية إستخدم مكتبة مُصَمَّنة لتنظيف كلمة السر

اختر وظيفة مخصّصة لمسح كلمة السر

OWASP تفضل Argon2id للنظم الجديدة، مع التشفير كبديل عندما لا يكون متاحاً. PBKDF2 وهو يخدم متطلبات الامتثال المحددة. ولا يزال التشفير ذا أهمية بالنسبة للنظم القديمة ولكنه ينطوي على قيود، بما في ذلك طول المدخلات.

Use library functions for creation and verification, salt generation and parameter storage. اختيار بارامترات التكلفة من الإرشادات والقياسات الحالية على الخادم المستهدف. حساب قطع الأشجار المتزامنة والحدود من الموارد: يجب ألا يؤدي التسرع الكلفة إلى إنكار الخدمة. ولا يزال الحد من المعدل المباشر ضروريا.

فهم الملح والفلفل

فالملح عشوائي فريد من نوعه لكل سجل؛ ولا ينبغي أن يكون سرا. وخزن معالم تحديد هوية الخوارزمية والتحقق منها أيضا، في كثير من الأحيان ضمن السجل المدون للمكتبة.

الفلفل هو سر اختياري يُحتفظ به خارج قاعدة بيانات كلمة السر ويمكنها أن تساعد في بعض سيناريوهات الخرق، ولكنها تعقّد التناوب والإدارة الرئيسية. إنه لا يحل محل الملح ولا وظيفة تهتز مناسبة.

تحسين السجلات بعد تحقق ناجح

في سجل ناجح، التحقق من السجل القديم أولاً ثم إعادة صياغة كلمة السر المقدمة إذا كانت البارامترات قد تجاوزت الحد الأقصى. لا يمكنك إستعادة كلمات السر الأصلية من العجلات الحالية لتهاجر قاعدة البيانات بأكملها وتحتاج الحسابات الخاملة إلى سياسة منفصلة بشأن إعادة التوطين أو الهجرة. إعادة التنظيف لا تلغي التسريب السابق

وقبل النشر، اختبار كلمات السر غير الصحيحة، والهجرة القديمة، والحدود الزمنية والعبء. لا تختبر كلمات السر ولا ترسلها إلى محللين